Informatyka śledcza

Z Wikipedii

Ten artykuł wymaga dopracowania zgodnie z zaleceniami edycyjnymi. Należy w nim poprawić: formatowanie tekstu, linki wewnętrzne dalej w artykule, dopracowanie tonu, itp. Dokładniejsze informacje o tym, co należy poprawić, być może znajdziesz na stronie dyskusji tego artykułu. Po naprawieniu wszystkich błędów można usunąć tę wiadomość.

Informatyka śledcza to polskie tłumaczenie angielskiego wyrażenia Computer Forensics.W dużym uproszczeniu informatyka śledcza to poszukiwanie i analiza informacji w formie cyfrowej, mająca na celu dostarczenie elektronicznych środków dowodowych popełnionych przestępstw lub nadużyć.

Proces informatyki śledczej obejmuje zebranie, odzyskanie (jeśli informacje zostały usunięte), analizę oraz prezentację w formie specjalistycznego raportu danych elektronicznych znajdujących się na wszystkich rodzajach nośników (dyski twarde komputerów, dyskietki, płyty CD, pamięci przenośne, serwery, telefony komórkowe itp.). Efektem działań specjalistów informatyki śledczej są dane elektroniczne przygotowane w sposób spełniający kryteria dowodowe zgodnie z obowiązującymi w danym kraju regulacjami prawnymi

Do najczęstszych przypadków zastosowania informatyki śledczej w Polsce należą kradzież danych przez zwalnianych lub nielojalnych pracowników oraz sabotaż (usuwanie lub kradzież danych firm lub instytucji publicznych mające na celu m.in. osłabienie ich pozycji konkurencyjnej lub pozyskanie know-how).

Dowód elektroniczny i przestępstwa komputerowe

Dowód elektroniczny (digital evidence) jest dopuszczalny w procesie karnym i cywilnym. Jest to typ dowodu naukowego, spełniającego bardzo rygorystyczne wymagania amerykańskiego standardu Dauberta, zgodnie z którym metoda lub teoria naukowa, aby stać się dowodem, musi:

1. Sama w sobie być sprawdzalna i zostać już poddana kontroli;
2. Być opisana i oceniona w literaturze fachowej;
3. Być znany lub przewidywany poziom błędów uzyskiwanych przy stosowaniu tej metody;
4. Uzyskać powszechną akceptację („general acceptance”) specjalistów w danej dziedzinie.

Wymóg powszechnej akceptacji jest ważnym czynnikiem decydującym o dopuszczeniu konkretnego dowodu, jednak nie stanowi warunku koniecznego. Polskie prawo również – co do zasady – przyjmuje, że dowody elektroniczne mogą być wykorzystane w postępowaniu przed sądem . Dowód elektroniczny musi być pozyskany, potwierdzony (poddany procesowi uwierzytelniania), zabezpieczony i zanalizowany w sposób, który uniemożliwi obronie podniesienie zarzutu manipulacji dowodem czy fałszerstwa.

Przestępstwa komputerowe definiuje konwencja Rady Europy ETS 185, gdzie wskazuje się następujące ich grupy:

1. Przestępstwa przeciw poufności (Confidentiality), integralności (Integrity) i dostępności (Availability) danych (tzw. przestępstwa CIA). Obejmują one między innymi: nielegalny dostęp do systemów przez hacking, podsłuch czy oszukiwanie uprawnionych użytkowników (powszechnie znany „phishing”), szpiegostwo komputerowe (włączając trojany i inne techniki), sabotaż i wymuszenia komputerowe (wirusy, ataki DDoS, spam) .
2. Powiązane z komputerami (sieciami) przestępstwa tradycyjne, zaczynając od oszustw (od klasycznych, czyli manipulacji fakturami czy kontami firmowymi, do manipulacji on-line – oszukańczych aukcji czy nielegalnego używania kart kredytowych), poprzez komputerowe podróbki, aż do ataków na ludzkie życie przez np. manipulowanie systemami szpitalnymi czy systemami kontroli ruchu powietrznego.
3. Przestępstwa „kontentowe” (dotyczące zawartości). Ta kategoria obejmuje na przykład dziecięcą pornografię, dostarczanie instrukcji przestępczych, a także samo oferowanie popełniania przestępstw. Ta kategoria obejmuje także molestowanie i mobbing poprzez sieć, rozpowszechnianie fałszywych informacji (np. „czarny” PR, schematy „pump-and-dump”) oraz internetowy hazard.
4. Przestępstwa powiązane z naruszeniem prawa autorskiego i praw pokrewnych, takie jak nieautoryzowane kopiowane i rozpowszechnianie programów komputerowych. Do tej kategorii zalicza się także nieautoryzowane użycie baz danych.

Należy podkreślić, że dziedzina dostarczania elektronicznych środków dowodowych wybiega znacznie poza przestępstwa komputerowe i ma zastosowanie przy każdym przestępstwie czy nadużyciu, gdzie urządzenia elektroniczne miały zastosowanie jako nośnik danych. Podsumowanie przestępczości komputerowej w USA zawiera doroczny "Computer Crime Survey" dostępny na www.gocsi.com

Narzędzia informatyków śledczych

Narzędzia CF obejmują hardware (np. blokery) i software czyli specjalne narzędzia programowe. Warto jednak dodać, że łatwiej akceptowane w postępowaniach sądowych są rezultaty uzyskane za pomocą standardowych, wielokrotnie sprawdzonych narzędzi służących przeszukiwaniu nośników, odzyskiwaniu danych oraz analizie i raportowaniu. Klasyczne softwarowe narzędzia informatyki śledczej są przeznaczone do pracy z jednym komputerem – można tu wymienić np. X-Ways Forensic czy Forensic Toolkit firmy AccessData. Od kilku lat dostępne jest także narzędzie służące kontroli i analizie zdarzeń zachodzących w sieci firmowej, czyli EnCase Enterprise stworzone przez GuidanceSoftware, z kolei firma Micro Systemation wprowadziła na rynek program .XRY służący do analiz zawartości pamięci telefonów komórkowych.

Praktycy informatyki śledczej podkreślają przewagę narzędzi komercyjnych nad open source i free software. W przypadku procesu sądowego łatwo jest bowiem podważyć prawdziwość dowodu elektronicznego zebranego za pomocą narzędzi otwartych, postrzeganych jako umożliwiające ingerencję w samo narzędzie, a poprzez to również w informacje przedstawiane jako dowód, narzędzi niewiadomego źródła, pochodzenia i autorstwa.

Zadania specjalistów informatyki śledczej:

»   ustalanie zakresu analizy dowodów elektronicznych oraz przedmiotu poszukiwania
»   właściwe zabezpieczenie kopii danych
»   szczegółowa analiza śladów elektronicznych
»   sporządzenie raportu dotyczącego analizowanych danych.

Informatycy śledczy wykorzystywani są najczęściej w przypadkach:

»   defraudacji środków finansowych
»   łamania prawa pracy
»   kradzieży danych
»   szpiegostwa przemysłowego
»   łamania praw autorskich
»   ujawnienia tajemnicy handlowej
»   kradzieży i użycia danych osobowych
»   spraw kryminalnych (handel narkotykami, terroryzm, morderstwa, samobójstwa, zorganizowana przestępczość, pedofilia).

Gdzie specjaliści informatyki śledczej szukają informacji?

Dane zawarte w systemie	Dane ukryte	Otoczenie komputera
»   poczta elektroniczna »   dokumenty elektroniczne »   pliki tymczasowe »   partycje/pliki wymiany »   pliki kopii »   logi i rejestry »   dane przeglądarki »   pliki kolejkowania wydruku »   cookies	»   META-DANE »   Dane skasowane »   Slack space »   RAM-slack	»   Sieci z którymi się łączył »   Dane z backupów »   Powiązania z innymi nośnikami

Ciekawostka

Samo wyrażenie „informatyka śledcza” wykoncypowane i spopularyzowane przez Mediarecovery – jedną z polskich firm działających na rynku, przyjęło się i jest ogólnie stosowane. Początkowo jednak wśród specjalistów używano również określeń „kryminalistyka informatyczna”, „informatyka kryminalistyczna” lub po prostu „forensic”. Spierano się co do poprawności językowej używanych tłumaczeń angielskiego pierwowzoru, dowodząc zasadności swoich racji. W tej jednak chwili stosuje się w zasadzie tylko i wyłącznie „informatykę śledczą”. Przykładem może być polski oddział wywodzącej się z USA firmy Ontrack, która obecnie również stosuje to określenie, choć do niedawna używała wyrażenia „Ontrack Forensics”.

Uwarunkowania prawne dotyczące dowodów w postaci elektronicznej z polskiego prawa

»   Uwarunkowania prawne – kodeks pracy: Art.52.§1-3 Art.114 Art.115 Art.116 Art.119 Art.114. Art.122 Art.267.§1-4 Art.268.§1-4 Art.268a.§1-3 Art.287.§1-3
»   Ustawa o zwalczaniu nieuczciwej konkurencji
»   Kodeks postępowania cywilnego: Art.227 Art.278 Art.305 Art.227 Art.307.§1-3 Art.308.§1-2 Art.309.

Ta sekcja linków zewnętrznych wymaga weryfikacji. Aby pomóc, przeczytaj zasady wstawiania linków zewnętrznych i usuń niepotrzebne linki.

Więcej informacji o Computer Forensics
Forensic Focus Informacje z branży, nowości
SecureStandard artykuły o Computer Forensics
Computer Forensics World
Windows Forensics: Have I been Hacked?
Computer Forensics Wiki
Forensics.nl opis procedury Computer Forensics
Forensic Investigation: Who needs forensics?

Mediarecovery polska firma Computer Forensics
Forensic Tools jedyny polski sklep internetowy z narzędziami dla informatyków śledczych
Computer Forensics Investigations
Anti-Hacking for Computer Forensics
Ontrack Electronic Investigations
An Explanation of Computer Forensics
Digital Data Acquisition Tool Specification
Forensics: Electronic Trail of Evidence
Computer Forensics Emerges...
Forensics Wiki

Oprogramowanie do Computer Forensics
-The Sleuth Kit - Open source disk and file system analysis software.
Open Source Forensics - spis programów do Computer Forensics
Helix Dystrybucja linuxa z narzędziami Computer Forensics